PHP单用户登录系统安全性排查及Session验证问题求助

一、修复devtools.php跳转问题 #

你的代码验证成功后未将任何用户信息存入Session，且devtools.php缺少session_start()调用，导致检测$_SESSION['pwd']永远不存在，因此会持续跳转。按以下步骤修复：

1. 修改formhandler.php的登录成功逻辑 #

验证用户名密码正确后，将用户标识存入Session（不要存密码），再直接跳转：

// 替换原验证通过后的跳转代码：
$_SESSION['username'] = $row['username']; // 或存储用户ID：$_SESSION['user_id'] = $row['usid']
header("Location:../devthing/devtools.php");
exit;

如果必须保留cooki.php，需在该文件开头添加session_start()，否则Session无法延续：

<?php
session_start();
ini_set('session.cookie_lifetime', '864000');
header("Location:devtools.php");
exit;

2. 修复devtools.php代码 #

• 必须在所有输出前调用session_start()
• 修正header语句的语法错误（末尾加分号）
• 检测Session中的用户标识（而非密码），跳转后强制终止代码执行：

<?php
session_start();
// 检测Session中是否存在用户标识
if (!isset($_SESSION['username'])) {
    header("Location:../index.php");
    exit; // 必须添加，防止后续代码输出
}
?>

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Document</title>
</head>
<body>
    welcome to devtools!
</body>
</html>

二、用户名与密码的安全问题优化 #

当前实现存在多处安全隐患，以下是关键修复点：

1. 禁止明文存储密码 #

数据库中明文存储密码，一旦数据库泄露，用户密码直接被盗。必须使用PHP的password_hash()加密存储，验证时用password_verify()：

• 存储密码时：$hashed_pwd = password_hash('用户原始密码', PASSWORD_DEFAULT); 存入数据库
• 验证时替换原有密码对比逻辑：

// 原代码中$expectedpwd = $row['pwd']; 之后替换为：
if ($username !== $expectedname || !password_verify($pwd, $expectedpwd)) {
    header("refresh:3;url=../index.php");
    echo "用户名或密码错误";
    exit;
}

2. 防止SQL注入（养成良好习惯） #

虽然当前查询固定usid=1，但后续代码修改易引发注入风险，改用mysqli预处理语句：

// 替换原查询代码：
$stmt = mysqli_prepare($conn, "SELECT username, pwd FROM user WHERE usid = ?");
mysqli_stmt_bind_param($stmt, "i", $usid); // i表示整数类型
$usid = 1;
mysqli_stmt_execute($stmt);
$res = mysqli_stmt_get_result($stmt);
$row = mysqli_fetch_assoc($res);

3. Session安全配置 #

• 开启Session的HttpOnly和Secure属性，防止XSS窃取Session：

session_set_cookie_params([
    'lifetime' => 864000,
    'path' => '/',
    'secure' => true, // 生产环境开启，仅HTTPS下传输
    'httponly' => true, // 禁止JS访问Session Cookie
    'samesite' => 'Strict' // 防止CSRF攻击
]);
session_start();

• 登录成功后调用session_regenerate_id(true);，更新Session ID，防止会话固定攻击。

4. 其他安全细节 #

• 不要用strip_tags()处理用户输入，应在输出到页面时用htmlspecialchars()，防止XSS。
• 跳转后必须调用exit或die，避免后续代码执行。
• 不要将密码存入Session，仅存储必要的用户标识（如用户名、用户ID）。
• 可添加登录尝试次数限制，防止暴力破解。

内容的提问来源于stack exchange，提问作者jay